E-Mail-Sicherheit in einem von der SEC regulierten Umfeld: Was Sie wissen müssen

Was braucht es, um einen 18-Milliarden-Dollar-Fonds vor Cyberangriffen zu schützen? Am 1. Dezember haben wir Dan Bennett, CTO von Castlelake, zu einem Webinar eingeladen, um das herauszufinden. Begleitet wurden wir dabei von Rois Ni Thauma, Head of Cyber Governance hier bei Red Sift. Über diese individuelle Herausforderung hinaus interessierte uns, wie die Sicherheit eines einzelnen Unternehmens in einer eng verflochtenen Branche einen Netzwerkeffekt auslösen kann, der dazu beiträgt, alle Firmen und Investoren vor gefährlichen und kostspieligen E-Mail-Identitätsdiebstahl-Angriffen zu schützen.

Castlelake ist eine globale private Investmentfirma, die sich auf vermögensbasierte Anlagemöglichkeiten spezialisiert hat. Als CTO ist Dan sowohl für die gesamte Cybersicherheit des Unternehmens als auch für den Einsatz von Software zur Optimierung der Renditen und zur Steigerung der Effizienz der operativen Vermögenswerte verantwortlich.

Ich habe meine Karriere im Finanzwesen begonnen, insofern ist dies für mich eine Art Rückkehr zu den Wurzeln. Bevor ich zu Red Sift kam, habe ich etwa sieben Jahre im Investmentbanking und Private Equity gearbeitet, mit Unternehmen, die auf den ersten Blick genauso aussehen wie Castlelake. Keines davon nutzte Software jedoch so elegant und effektiv wie Dan und sein Team.

Teams, die Software einsetzen, um Dinge schneller und zuverlässiger zu erledigen, haben eher die Nase vorn. Ich glaube, dass genau dieser Ansatz Dan dazu bewogen hat, sich für OnDMARC von Red Sift als Lösung für die ausgehende E-Mail-Authentifizierung und DMARC des Unternehmens zu entscheiden.

Bei einem kürzlichen Gespräch mit Dan kamen wir auf die Anzahl der Handelspartner zu sprechen, die eine schwache ausgehende Authentifizierung aufweisen. Ich bot mich an, dem weiter nachzugehen und unsere Technologie zu nutzen, um das gesamte von der SEC regulierte Universum auf E-Mail-Authentifizierungsrichtlinien – oder deren Fehlen – zu untersuchen.

Wir begannen damit, eine Liste aller 18.281 bei der Security and Exchange Commission registrierten Unternehmen zu erstellen. Anschließend analysierten wir für die 15.254 Firmen, für die eine Webdomain gefunden werden konnte, deren DNS, um ihre DMARC-Richtlinie und SPF-Einträge zu ermitteln. Für eine Branche, die so stark auf Vertrauen angewiesen ist, sind die Ergebnisse ziemlich ernüchternd.

Nur 5 % aller Unternehmen haben DMARC im Schutzmodus eingeführt – eine Richtlinie, bei der nicht authentifizierte E-Mails, die in ihrem Namen versendet werden, vom Empfänger abgelehnt oder unter Quarantäne gestellt werden.

Nur knapp 12 % sammeln überhaupt DMARC-Berichte, wodurch ein großer blinder Fleck entsteht, den Angreifer ausnutzen können.

Es lohnt sich, auf die enorme Vielfalt der von der SEC regulierten Unternehmen hinzuweisen. Sie reicht von großen etablierten Banken über kleine, familiengeführte Brokerfirmen mit Privatanlegern bis hin zu schnell agierenden Fintechs mit einer Lizenz, Bestehendes zu disruptieren. Dies setzt eine riesige Bandbreite an Handelspartnern dem Risiko aus, Opfer von Identitätsdiebstahl zu werden – mit sehr unterschiedlichem Reifegrad in der Cyberabwehr.

Im Laufe unseres Gesprächs stellten wir die These auf, dass gerade diese Vielfalt möglicherweise zu einer langsamen Verbreitung geführt hat. Obwohl große Banken zu den ersten gehörten, die DMARC eingeführt haben, hat es sich, wie unsere Daten zeigen, nicht auf die überwiegende Mehrheit der kleineren Unternehmen ‚durchgesickert‘. In anderen Branchen, wie etwa dem Bauwesen, üben große Auftragnehmer enormen Einfluss auf ganze Wertschöpfungsketten aus, was zu einer schnellen Einführung von Standards wie Arbeitssicherheit vor Ort führt. Solche Effekte sind im Finanzwesen schwächer ausgeprägt, wo Lieferketten diffuser oder sogar zirkulärer Natur sind. Kommt der Druck nicht vom Regulator, bleibt es den Unternehmen selbst überlassen, sich abzusichern und ihr unmittelbares Netzwerk zu beeinflussen.

Dan merkte an, dass „E-Mail bei Weitem das vorherrschende Mittel ist, mit dem die Finanzbranche mit ihrem Ökosystem aus Handelspartnern, Anbietern und Lieferanten kommuniziert. Wahrscheinlich in einem Umfang und Abhängigkeitsgrad, der aufgrund der Art der Beziehungen andere Branchen übertrifft“.

Bei E-Mails gehören tatsächlich immer zwei dazu. Es liegt ebenso in der Verantwortung des Empfängers, die Herkunft einer Nachricht zu überprüfen, wie es Aufgabe des Absenders ist, diese Herkunft überhaupt erst überprüfbar zu machen. Genau das ist die Rolle von DMARC und der beiden Protokolle SPF und DKIM, auf denen der Standard aufbaut.

CISOs und CTOs wie Dan bei Castlelake gehen zunehmend noch einen Schritt weiter, indem sie darauf bestehen, dass Handelspartner ihre ausgehende Authentifizierung in Ordnung bringen. Sie tun dies, indem sie ihre Wachsamkeit bei eingehenden E-Mails erhöhen und E-Mails, die grundlegende Authentifizierungsstandards nicht erfüllen, strenger prüfen. „Wer im Glashaus sitzt, sollte nicht mit Steinen werfen. Ich kann die Kontrollen an meinem Gateway nicht verschärfen, um eingehende E-Mails basierend auf der Einhaltung dieser Protokolle zu beschränken, wenn mein eigenes Haus nicht in Ordnung ist“.

Die Authentifizierung ausgehender E-Mails ist oft schwerer zu vermitteln: Weil es sich um ausgehende E-Mails handelt, scheint es per Definition das Problem eines anderen zu sein. Doch im Finanzwesen kann das, was wie das Problem eines anderen erscheint, schnell zu einem systemischen Risiko werden. Sie ist daher ein grundlegender Bestandteil des heutigen Sicherheits-Stacks und eine notwendige Komponente, um „das eigene Haus in Ordnung zu bringen“.

“We have an obligation to secure every email we send out as well as those we receive. You need to be careful who you let in through your front door, but equally as cautious if you’re sending nasty people out of your house.” Dan Bennett, CTO at Castlelake

Wenn geschäftliche Erträge von häufigen und reibungslosen Transaktionen mit einer wachsenden Zahl vertrauenswürdiger Partner und Handelspartner abhängen, ist es ebenso wichtig, böswillige Akteure daran zu hindern, Castlelake nach außen zu imitieren, wie sich gegen externe Bedrohungen von außen zu verteidigen.

Glücklicherweise ist die Implementierung der Authentifizierung ausgehender E-Mails viel einfacher geworden als früher. Dank DMARC-Reporting und Softwarelösungen wie OnDMARC kann die Aufgabe größtenteils automatisiert werden. Die größte Sorge der meisten Unternehmen, die zum ersten Mal DMARC-Schutz implementieren, ist es, versehentlich legitime E-Mails zu blockieren – entweder während der Implementierung oder später beim Hinzufügen neuer Versanddienste. Unsere Software wurde mit Blick auf dynamische E-Mail-Umgebungen entwickelt und macht die Konfiguration klar, nachvollziehbar und zuverlässig, sodass Teams wie das von Dan sich auf die nächste Bedrohung konzentrieren können, während sie die Finanzdienstleistungsbranche für alle Beteiligten sicherer machen: „Es ist jetzt Teil der Architektur unseres Unternehmens. Es läuft einfach, und wir überwachen es nur noch.“